Обзор продуктов платформы Cyberbit

Cyberbit предлагает комплексное решение как в виде платформы кибербезопасности, реализующей принцип «единого окна» для обнаружения, оркестровки, автоматизации и реагирования в области информационных (IT), операционных (OT) технологий и технологий интернета вещей (IoT), так и в виде отдельных продуктов платформы.

1. Введение
2. Состав платформы Cyberbit
3. Cyberbit EDR
4. Cyberbit SCADAShield
5. Cyberbit SOC 3D
6. Cyberbit Range
7. Выводы

Введение

Киберпреступники отключают промышленные центры, обесточивают города, блокируют работу аэропортов и финансовых систем. Отдельные компании для них становятся долгосрочными полигонами.

Развитие технологий, оснащенности и практик киберпреступников ни на шаг не отстает от развития информационных технологий, а подчас и опережает их. Говорить же о возможностях ИБ в деле противостояния современным угрозам приходится лишь в контексте компетентности специалистов, новейшего арсенала средств, и процессов, и крайне ограниченного промежутка времени, доступного для реагирования.

Cyberbit был выделен в 2015 из оборонного концерна Elbit Systems (NASDAQ: ESLT) с тем, чтобы предложить коммерческому сектору передовые технологии безопасности, разработанные для правительственных и военных организаций.

Платформа Cyberbit представляет собой сочетание передовых технологий и средств обнаружения и реагирования для защиты как операционных (промышленных сетей — АСУ ТП, OT), так и информационных технологий.

Cyberbit предлагает также изолированную виртуальную среду на базе данной платформы, предназначенную для моделирования процессов, реалистичной симуляции атак, а также противодействия им.

Особенности платформы Cyberbit:

• неиспользование облачных технологий и сторонних сервисов — использование только собственных ресурсов предприятий (on-premise);
• равновозможное применение как конечным заказчиком, так и MSSP/MDR.

На базе платформы Cyberbit может быть построено комплексное решение по обеспечению информационной безопасности (ИБ) для крупных компаний и государственных организаций. До недавнего времени подобного рода решение могло быть реализовано только при условии использования множества продуктов различных вендоров.

Состав платформы Cyberbit

Cyberbit EDR — система обнаружения неизвестных угроз информационным системам и реагирования на них для конечных устройств.

Cyberbit SCADAShield — система обнаружения угроз технологическим (промышленным, операционным) системам и предотвращения атак на них.

Cyberbit SOC 3D — система оркестрации, автоматизации и реагирования как для информационных, так и для технологических систем, управления жизненным циклом инцидентов, процессами и деятельностью команды SOC.

Cyberbit Range — платформа моделирования и симуляции архитектур, процессов и кибератак для подготовки специалистов по кибербезопасности и тестирования решений для ИС, АСУ ТП и ИБ.

Рисунок 1. Платформа Cyberbit

Cyberbit EDR

Основным способом компрометации ИТ-инфраструктуры остается атака на конечные точки. Традиционные средства защиты не успевают за новыми угрозами и специально кастомизированными вредоносами. Крайне сложно обнаружить и отследить бесфайловые атаки — «полезная» нагрузка загружается непосредственно в оперативную память. Наличие всего возможного спектра средств защиты конечных точек, начиная со средств антивирусной защиты (САЗ) и заканчивая полноценными комплексами Endpoint Protection (EPP), не позволяет предотвратить угрозы, реализуемые посредством этих конечных точек. Потребовались технологии, позволяющие производить поиск, обнаружение и расследование угроз на уровне ядер операционных систем всей инфраструктуры конечных точек. Такие средства получили наименование Endpoint Detection and Response (EDR). Gartner определяет EDR как инструментарий для детектирования и расследования подозрительной деятельности в рамках всей непрерывной инфраструктуры рабочих мест.

Cyberbit EDR (Endpoint Detection and Response) предназначен для обнаружения современных сложных сетевых угроз.

С использованием сверхлегких агентов, контролирующих ядра операционных систем и пользовательские пространства на всех узлах сети (рабочих станциях и серверах), Cyberbit EDR непрерывно собирает и анализирует данные, используемые поведенческой аналитикой для обнаружения постоянных, неизвестных и целевых угроз.

Передовые средства в сочетании с интеллектуальной обработкой big data позволяют точно выявлять атаки, при этом уровень ложных срабатываний сводится к минимуму. Многоэтапный анализ — на уровне агента и далее в центральном хранилище big data — позволяет Cyberbit EDR обнаруживать и выявлять подозрительное и аномальное поведение как на единичном хосте, так и в целом во всей сети, и принимать соответствующие ответные и профилактические меры, включая изоляцию файлов, удаление следов присутствия, блокировку файлов/процессов/пользователей.

Для облегчения жизненного цикла реагирования на атаки, и, в частности, для ускорения процедур расследования Cyberbit EDR обеспечивает форензику в режиме реального времени, предоставляет активные средства поиска угроз, реализует расширенную визуализацию и удобный графический интерфейс.

Рисунок 2. Информационные панели в графическом интерфейсе Cyberbit EDR

Механизм контекстно-зависимого обнаружения, реализованный в Cyberbit EDR, позволяет выявлять как поведенческие модели, так и статистические аномалии в сети, что раскрывает подробности и контекст каждой угрозы, обеспечивает выявление вредоносных действий и предоставление аналитикам ранних оповещений без генерации избыточных ложных оповещений о подобных, хотя и разрешенных действиях.

Визуализация вредоносной активности на временной шкале детально прорисовывает развитие атаки, включая все связанные объекты и события, а также наиважнейшие сведения, автоматически предоставляемые системой.

EDR снижает требуемый уровень квалификации аналитика, поскольку в автоматическом режиме обеспечивает широкий набор возможностей по визуализации и детализации.

Cyberbit EDR может выступать источником данных (alert system) как для SIEM, так и непосредственно для SOAR, а также управляться из SOAR, в частности из SOC3D.

Cyberbit EDR не использует сторонние источники или внешние сервисы, не требует подключения к интернету и в полном объеме выполняет заявленную функциональность в изолированных средах.

Cyberbit EDR в известной степени остается последней линией защиты, поскольку одна из основных его целей состоит в том, чтобы обнаружить те атаки, которые успешно преодолели другие средства защиты информации.

Cyberbit SCADAShield

В традиционных информационных системах в подавляющем большинстве в качестве стека сетевых протоколов используется TCP/IP, а в качестве операционных систем — Windows/Linux, для которых хорошо известны, описаны и применяются средства защиты информации. В отличие от них технологические (промышленные, операционные) сети, также известные как АСУ ТП/АСДУ, ОТ, ICS (Industrial Control System), SCADA, составляют крайне сложную предметную и операционную область, отличительными чертами которой являются:

• низкая наглядность как результат отсутствия актуальных агрегированных данных об активах, протоколах и особенностях функционирования, «слепые пятна» промышленных систем;
• неэффективность или невозможность применения традиционных IT-решений для защиты и обеспечения ИБ;
• конфликты на уровнях владения и ответственности между IT- и ОТ-системами.

В течение многих лет для защиты ОТ-сетей применялся тривиальный, но малоэффективный подход, заключающийся в изоляции OT от ИТ-окружений. Сравнительно недавно на рынке появились средства защиты на основе сетевых антивирусных средств и сканеров безопасности, переориентированные на специализированные промышленные протоколы.

Cyberbit SCADAShield представляет собой неинтрузивное решение для мониторинга OT-сетей, обнаружения и реагирования на атаки, а также проведения форензики. SCADAShield обнаруживает и делает видимыми все элементы и коммуникации промышленной сети, производит мониторинг OT- и IT-протоколов в рамках промышленной сети, а также поддерживает возможности обнаружения, анализа и реагирования в отношении аномального поведения в сети, уязвимостей и атак.

С помощью механизма детализированной глубокой фильтрации трафика (Granular Deep Packet Inspection, GDPI) Cyberbit SCADAShield выявляет области, которые должны быть подвергнуты анализу на каждом уровне протокола. При этом система анализирует как IP, так и последовательные протоколы, проверяет все виды сетевой активности и отображает все сетевые ресурсы. Эти данные используются для создания актуальной карты сетевых компонентов и коммуникационных связей.

Рисунок 3. Карта коммуникационных связей в графическом интерфейсе Cyberbit SCADAShield

Cyberbit SCADAShield отличает легкость и высокая скорость развертывания. Сенсорный компонент SCADAShield устанавливается в неинтрузивном режиме и выполняет пассивный мониторинг SCADA-сети посредством подключения к сетевым коммуникационным хабам. SCADAShield автоматически генерирует правила белого и черного списка для выявления сетевых уязвимостей, недостатков конфигурации, некорректного функционирования или нарушений установленных политик безопасности. Компонент Cyberbit SCADAShield, выполняющий функции сенсора, опционально может быть установлен в IPS-режиме с возможностью активного блокирования.

Преимущества, предоставляемые Cyberbit SCADAShield:

• обнаружение, отображение и контроль всех ресурсов OT-сети;
• визуализация сети и выявление изменений;
• мониторинг сети и возможность получения в режиме реального времени оповещений о подозрительной деятельности;
• отслеживание неавторизованных устройств, коммуникационного взаимодействия и операций;
• выявление общеизвестных уязвимостей ИБ (Common Vulnerabilities and Exposures, CVE) и сигнализация об их обнаружении;
• блокирование уязвимостей оборудования, протоколов и проблем безопасности;
• проведение форензики и других исследований, а также анализ основной причины (Root Cause Analysis, RСA);
• предоставление легко настраиваемых информационных панелей и отчетов;
• соответствие стандартам ICS и отраслевым нормам.

Cyberbit SOC 3D

Непрерывное усложнение среды реагирования на инциденты ИБ влечет за собой необходимость масштабирования операционной деятельности предприятий, а также сокращения среднего времени реагирования на инциденты и повышения эффективности сервисов. Но при этом, как следствие, возникают проблемы управления трудовыми ресурсами, процессами и технологиями. Эти проблемы обусловлены следующими факторами:

• многовекторные, критичные по времени атаки на информационные и технологические системы;
• большое разнообразие применяемых средств защиты информации и анализа защищенности;
• большое количество оповещений безопасности как от систем управления событиями ИБ (Security Information and Event Management, SIEM), так и от других источников.

При этом положение усугубляется тем, что имеет место довольно острый дефицит необходимых навыков в области ИБ, и, более того, наблюдается тенденция к дальнейшему ухудшению ситуации. Очевидным решением для предприятий и организаций-поставщиков услуг является повышение эффективности функционирования SOC.

Cyberbit SOC 3D представляет собой систему, сочетающую возможности оркестрации событий безопасности, автоматизации и реагирования (Security Orchestration, Automation and Response, SOAR) и расследований на основе big data. Эти возможности позволяют лицам, отвечающим за реагирование на инциденты, управлять всем жизненным циклом инцидента ИБ — от обнаружения до восстановления — с помощью «единого окна».

Рисунок 4. «Единое окно» реагирования на инциденты Cyberbit SOC 3D

В части возможностей по оркестрации событий безопасности следует отметить, что в Cyberbit SOC 3D встроены интеграционные возможности для всех систем SOC, включающие:

• SIEM;
• другие источники инцидентов;
• источники обогащения инцидентов;
• управляемые системы безопасности.

Средства интеграции обеспечивают возможность бесшовной интеграции практически с любой системой на уровне API в течение нескольких часов. Cyberbit SOC 3D уже включает в себя широкий набор готовых сценариев реагирования на инциденты ИБ, а также механизмы создания собственных сценариев. SOC 3D также облегчает отслеживание метрик SOC с помощью производительной платформы big data и настраиваемых KPI-виджетов.

Cyberbit SOC 3D автоматизирует ручные задачи:

• приоритизация инцидентов;
• сбор данных;
• документирование и сбор свидетельств;
• внутренняя и внешняя отчетность и др.

Автоматизация процессов и частных задач позволяет ускорить реагирование на инциденты ИБ и предоставить аналитикам ИБ возможность направить больше ресурсов на инциденты ИБ с приоритетом высокого уровня. С помощью функций автоматизации процессы, ранее занимающие часы рабочего времени, зачастую могут быть выполнены за минуты или даже секунды. Функциональность по автоматизации, реализованная в Cyberbit SOC 3D, является настраиваемой, вследствие чего можно полностью контролировать то, какие задачи должны быть автоматизированы.

Важной отличительной особенностью платформы Cyberbit SOC 3D является то, что она обеспечивает запись и хранение в репозитории big data «сырых» данных, необходимых для проведения расследования. Cyberbit SOC 3D хранит, осуществляет корреляцию и индексирование данных, полученных как из источников событий безопасности, так и других источников, включая системы ОТ, что позволяет аналитикам в режиме реального времени получать ответы на свои запросы в RСA-контексте.

Cyberbit SOC 3D предоставляет обширный каталог информационных панелей для проведения расследования. Есть возможность создавать собственные панели в соответствии со специфическими требованиями организации.

Cyberbit Range

В дополнение ко всем перечисленным сложностям следует отметить всеобъемлющую проблему привлечения в достаточном количестве специалистов, обладающих компетенцией в вопросах реагирования на инциденты. Так как компетенции не берутся из ниоткуда, а развиваются и наращиваются только с опытом, целесообразно ставить вопрос о повышении в нужном направлении квалификации специалистов, уже имеющихся в штате организаций. Дело в том, что зачастую это может оказаться выгоднее, чем привлечение специалистов со стороны.

Согласно данным SANS 2018 SOC Survey, более 70 % руководителей ИБ считают дополнительные тренинги лучшим совершенствованием программ реагирования на инциденты, так как нехватка кадров и низкая квалификация являются их главными недостатками.

Cyberbit Range — платформа реалистичного кибермоделирования, использующая методы подготовки боевых летчиков, позволяющая значительно повысить производительность групп реагирования на инциденты.

Cyberbit Range предоставляет возможность специалистам предприятий в области кибербезопасности участвовать в практическом обучении в условиях, приближенных к реальным. Cyberbit Range служит также испытательным стендом для оценки инструментов и архитектур обеспечения безопасности в контролируемой среде. В качестве учебной платформы Cyberbit Range позволяет как специалистам по кибербезопасности, так и руководству компании отрабатывать реалистичные сценарии устранения инцидентов и существенно повышать эффективность своей работы в случае действительного возникновения инцидентов кибербезопасности.

Cyberbit Range обеспечивает возможности симуляции работы сети, корпоративного и интернет-трафика в условиях виртуальной среды. Допускает подключение приложений и оборудования заказчика, чтобы сделать симулятор максимально соответствующим реальной сети организации. С использованием предустановленных сценариев атак демонстрируются различные типы атак и методы противодействия им. Обучающиеся оцениваются по умению отслеживать, расследовать, реагировать и блокировать угрозы и достигать целей, определенных заданием на сессию. Сессия записывается и привязывается к временной шкале, чтобы при подведении итогов сессии иметь возможность ее воспроизвести и проанализировать. Каждый сеанс может быть запущен с любой временной отметки и повторен. Cyberbit Range обеспечивает моделирование IT-сети и SCADA с возможностью подключения дополнительного физического оборудования SCADA, а также поддерживает как индивидуальные, так и командные тренировки.

Cyberbit предлагает готовые настройки сетей (как информационных, так и технологических), наполнение трафика и сценарии угроз различных уровней сложности, а также обеспечивает периодическое обновление базы знаний новыми сценариями атак, разработанными группой экспертов по кибербезопасности, чтобы обеспечить заказчиков актуальными сценариями.

Cyberbit Range предлагает четыре программы обучения:

• реагирование на инциденты;
• тесты на проникновение;
• безопасность АСУ ТП;
• продвинутые индивидуальные курсы.

Каждая из программ включает множество сценариев атак, таких как SQL-инъекция, DDoS, программы-вымогатели, фишинг, утечка данных и многих других.

Расширенные возможности позволяют настраивать любой аспект учебной сессии, включая разработку новых сценариев угроз, создание новых учебных программ в соответствии с конкретными потребностями и настройку моделируемой сетевой инфраструктуры с помощью простого в использовании графического мастера.

Рисунок 5. Тренинг кибербезопасности Cyberbit Range

Выводы

В настоящее время предприятия сталкиваются с целым рядом проблем обеспечения ИБ.

Во-первых, на практике имеет место взаимопроникновение IT-, OT- и IoT-сетей, что предоставляет широкие возможности для злоумышленников и усложняет для организаций задачу по обеспечению ИБ.

Во-вторых, средства защиты информации зачастую не отвечают реалиям, вследствие чего организации вынуждены использовать нишевые продукты для обнаружения угроз и реагирования, при этом каждое средство защиты информации может быть ориентировано исключительно на сеть определенного типа. В результате службы ИБ предприятий испытывают острую потребность в обеспечении единообразного уровня «видимости» атак, а также возможности обнаружения и реагирования на инциденты для конвергентной поверхности атак IT, OT, IoT.

В-третьих, хроническая нехватка квалифицированных специалистов по безопасности заставляет службы ИБ постоянно оставаться на шаг позади нарушителей.

Платформа Cyberbit позволяет автоматизировать, оркестрировать и моделировать процесс реагирования на инциденты от обнаружения до локализации — для IT-, ОТ- и IoT-сетей, множества типов устройств и широкого диапазона протоколов. Это реализуется с помощью единой платформы, которая объединяет четыре технологии для повышения скорости реагирования, увеличения эффективности персонала и масштабирования операций по обеспечению ИБ.